L’intégration d’agents d’IA avec des services tiers comme Gmail, Slack et Zoom étend considérablement la surface d’attaque de la sécurité, selon une nouvelle recherche de la firme de sécurité PromptArmor, qui a constaté que les connecteurs, les ponts d’intégration entre les plateformes d’IA et les outils externes, évoluent si rapidement que les approbations de sécurité statiques sont devenues dangereusement obsolètes.
PromptArmor a analysé 2 517 connecteurs dans l’écosystème des agents d’IA sur une période de six semaines, de mi-mai à fin juin. La firme a constaté que 931 de ces connecteurs, 37 pour cent, ont changé pendant cette période. Les connecteurs ont accumulé 1 686 nouveaux outils et ont vu 1 127 descriptions d’outils réécrites. « Toute hypothèse de sécurité fondée sur des capacités déclarées peut ne plus être valide », ont écrit les chercheurs.
Le connecteur Dropbox en est un exemple frappant. Au début de l’étude, il exposait huit outils. À la fin, il en exposait 24. Les outils capables d’écriture sont passés de trois à dix, et les outils potentiellement destructeurs sont passés de zéro à quatre. Les périmètres d’autorisation ont changé et des instructions de modèle ont été injectées dans la configuration du connecteur sans préavis.
Une constatation encore plus préoccupante : environ deux connecteurs sur cinq (189 des 487 connecteurs Claude analysés) font appel à des services d’IA tiers supplémentaires au-delà du partenaire d’intégration principal. Le connecteur Zoom illustre clairement le problème. Lorsqu’un agent Claude active le connecteur Zoom pour rechercher des réunions en langage naturel et transmet une requête contenant des données sensibles, ces données peuvent être transmises à l’un des dix sous-traitants IA de Zoom, qui peuvent à leur tour utiliser l’une des huit familles de modèles différentes pour générer une réponse.
La documentation d’Anthropic reconnaît elle-même cette limitation. « Les services connectés traitent les données sur leur propre infrastructure, selon leurs propres conditions, qui peuvent se situer en dehors des États-Unis », indique l’entreprise. « Les paramètres qui contrôlent l’endroit où l’inférence de Claude s’exécute, comme le paramètre d’inférence États-Unis uniquement sur les plans Enterprise, ne modifient pas l’endroit où les services tiers opèrent. »
Shankar Krishnan, cofondateur de PromptArmor, a décrit la combinaison de trois conditions, l’accès à des données privées, l’exposition à du contenu non fiable et un chemin de communication externe, comme une « triade létale ». Lorsque ces conditions convergent, « le rayon d’explosion d’une attaque explose », a-t-il déclaré.
La recherche a des implications pratiques immédiates pour les équipes de sécurité. Les capacités des connecteurs doivent être surveillées en continu plutôt qu’approuvées une fois pour toutes. L’inventaire des outils de chaque connecteur, en particulier le nombre d’outils d’écriture et d’outils destructeurs, nécessite un audit régulier. Et les organisations ne peuvent pas supposer que les contrôles de sécurité d’un fournisseur d’IA s’étendent aux services tiers que leurs connecteurs invoquent.
« La plupart des équipes qui approuvent les connecteurs les évaluent et les considèrent sans savoir que le fournisseur fait appel à davantage de services d’IA, ajoute de nouveaux sous-traitants et de nouvelles conditions », a déclaré Krishnan.
Sources : Connecter les agents d’IA à des services externes explose le rayon de risque (The Register, juillet 2026)
Traduit par Lydie